「https 化には、専用のプラグインを入れるもの」と思われている方は少なくありません。
Cloudflare をお使いのサイトなら、プラグインも、サーバーの .htaccess の書き換えも要りません。
本記事では、弊社が自社のサイトで実際に行った、いちばん楽で安全な方法をご紹介します。
結論：Cloudflare の「常に HTTPS を使用」を有効にするだけ
Cloudflare の管理画面で、次の1か所を有効にします。
- Cloudflare の管理画面で、対象のドメインを開きます
- 「SSL/TLS」の「エッジ証明書」を開きます
- 「常に HTTPS を使用」（Always Use HTTPS）を有効にします
これで、http で来たアクセスは、サーバーへ届く前に Cloudflare が https へ転送します。
設定はドメイン全体（すべてのサブドメイン）に効きます。
プラグインを使わない方が安全な理由
| 比べる点 | Cloudflare の設定 | https 化のプラグイン |
|---|---|---|
| サイトが止まる危険 | 小さい。サーバーのファイルに触れません | あります。.htaccess を書き換えるプラグインが多く、書き方を誤ると全ページが開かなくなります |
| 転送の繰り返し（ERR_TOO_MANY_REDIRECTS） | 起きません（サーバー側で転送していなければ） | 暗号化モードが Flexible のとき、起きることがあります |
| 戻し方 | スイッチを切るだけで、すぐ戻ります | 管理画面に入れなくなると、サーバーのファイルを直す必要があります |
| 保守 | 不要です | プラグインの更新と、脆弱性の確認が続きます |
Cloudflare 自身も、Cloudflare を使う場合はサーバー側で転送しないことを勧めています（出典の1）。
弊社サイトで試した結果
2026年10月12日、弊社のドメインで Cloudflare を通している13件のサブドメインに、この設定を入れました。
- 13件すべてで、http のアクセスが https へ転送（301）され、https のページが正常に開きました
- 主なサイトでは、転送は1回で済みました
- 主なページで、http のまま読み込まれる画像やファイル（混在コンテンツ）は0件でした
- 設定の後の表示の速さ（Google の計測の道具、モバイル）：Performance 99点・LCP 1.11秒
なお、前日にサーバー側の転送を試したときは、設定の書き方の誤りで、サブドメインがすべて開かなくなりました（エラー 500）。
サーバー側の設定がいかに危ないかを、身をもって確かめた形です。
この設定だけでは足りないこと
- WordPress のアドレス：「設定」→「一般」の WordPress アドレスとサイトアドレスを https にそろえます。WordPress が書き出すリンクと画像のアドレスが https になります
- Cloudflare とサーバーの間の暗号化：暗号化モードが Flexible のままだと、Cloudflare からサーバーまでの区間は暗号化されません。サーバーに有効な証明書を置き、Full (strict) へ上げるのが次の段です
- Cloudflare を外したとき：この設定は Cloudflare を通るアクセスにだけ効きます
4つの方法の詳しい比べ方は「http から https への転送は、どこで設定するのが安全か」をご覧ください。
出典
- Cloudflare「Always Use HTTPS」 https://developers.cloudflare.com/ssl/edge-certificates/additional-options/always-use-https/（2026/10/12 確認）
- Cloudflare「ERR_TOO_MANY_REDIRECTS」 https://developers.cloudflare.com/ssl/troubleshooting/too-many-redirects/（2026/10/12 確認）
- WordPress Developer Resources「HTTPS」 https://developer.wordpress.org/advanced-administration/security/https/（2026/10/12 確認）